There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Tornado is a Python web framework and asynchronous networking library. Prior to 6.6.0, Tornado decodes
    HTTP/1.1 chunked transfer encoding by processing body data that has already arrived without yielding to
    the event loop. A remote unauthenticated peer can send millions of one-byte chunks to monopolize the
    process event loop and stall every other connection served by that process, while lowering max_body_size
    only limits the duration of each request. For handlers that do not use @stream_request_body, retaining
    each chunk as a separate object can consume roughly twenty times the received body size, and
    SimpleAsyncHTTPClient has the same event-loop behavior when reading a response from a malicious server.
    This issue is fixed in version 6.6.0. (CVE-2026-115927)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Tornado 是一个 Python Web 框架和异步联网库。之前 6.6.0，Tornado 通过处理已到达的正文数据来解码 HTTP/1.1 分块传输编码，而不屈服于事件循环。未经认证的远程对等方可发送数百万个单字节区块来独占进程事件循环并停止该进程服务的所有其他连接，而降低max_body_size仅会限制每个请求的持续时间。对于不使用@stream_request_body的处理程序，将每个区块保留为单独的对象可能消耗大约 20 倍于接收到的正文大小，并且 SimpleAsyncHTTPClient 在读取来自恶意服务器的响应时具有相同的事件循环行为。
    此问题已在 6.6.0 版本中修复。(CVE-2026-115927)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Tornado 是一款 Python Web 架構與非同步網路程式庫。在之前 6.6.0，Tornado 透過處理已經到達的內文資料來解碼 HTTP/1.1 區塊傳輸編碼，而不會屈服於事件迴圈。遠端未經身份驗證的對等體可以發送數百萬個單位元組區塊來壟斷進程事件迴圈並停止該進程提供的所有其他連接，而降低 max_body_size 只會限制每個請求的持續時間。對於不使用 @stream_request_body 的處理常式，將每個區塊保留為個別物件可能會耗用大約 20 倍於收到的內文大小，而 SimpleAsyncHTTPClient 在讀取惡意伺服器的回應時具有相同的事件迴圈行為。
    6.6.0 版已修正此問題。(CVE-2026-115927)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Tornado は、Python ウェブフレームワークおよび非同期ネットワークライブラリです。6.6.0以前は、Tornado は、イベントループに屈することなくすでに到着した本文データを処理することにより、HTTP/1.1チャンク転送エンコーディングをデコードします。認証されていないリモートのピアが数百万個の 1 バイトチャンクを送信してプロセスイベントループを独占し、そのプロセスが提供する他のすべての接続を停止させることができますが、max_body_sizeを下げると各リクエストの期間が制限されるだけです。@stream_request_bodyを使用しないハンドラーの場合、各チャンクを個別のオブジェクトとして保持すると、受信した本文サイズの約20倍が消費され、悪意のあるサーバーからの応答を読み取るときに、SimpleAsyncHTTPClientは同じイベントループ動作をします。
    この問題はバージョン 6.6.0 で修正されています。(CVE-2026-115927)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Tornado is a Python web framework and asynchronous networking library. Prior to 6.6.0, Tornado decodes     HTTP/1.1 chunked transfer encoding by processing body data that has already arrived without yielding to     the event loop. A remote unauthenticated peer can send millions of one-byte chunks to monopolize the     process event loop and stall every other connection served by that process, while lowering max_body_size     only limits the duration of each request. For handlers that do not use @stream_request_body, retaining     each chunk as a separate object can consume roughly twenty times the received body size, and     SimpleAsyncHTTPClient has the same event-loop behavior when reading a response from a malicious server.
    This issue is fixed in version 6.6.0. (CVE-2026-115927)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
477761	SCA: security update for tornado (GHSA-r4j5-9xpp-3985)	Tenable Cloud Security	SCA Checks	10/29/2026	10/29/2026	medium
477963	Chainguard: jupyterhub-k8s-singleuser-sample: security update to 4.4.4-r3	Tenable Cloud Security	Chainguard Local Security Checks	10/30/2026	10/30/2026	medium
477761	SCA: security update for tornado (GHSA-r4j5-9xpp-3985)	Tenable Self-Hosted Container Security	SCA Checks	10/29/2026	10/29/2026	medium
477963	Chainguard: jupyterhub-k8s-singleuser-sample: security update to 4.4.4-r3	Tenable Self-Hosted Container Security	Chainguard Local Security Checks	10/30/2026	10/30/2026	medium
372335	Linux Distros 未修补的漏洞：CVE-2026-115927	Nessus	Misc.	10/27/2026	11/5/2026	medium
372335	Linux Distros 未修補弱點：CVE-2026-115927	Nessus	Misc.	10/27/2026	11/5/2026	medium
372335	Linux Distros のパッチ未適用の脆弱性: CVE-2026-115927	Nessus	Misc.	10/27/2026	11/5/2026	medium
372335	Linux Distros Unpatched Vulnerability : CVE-2026-115927	Nessus	Misc.	10/27/2026	11/5/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium